Liebe Kolleginnen und Kollegen,
bitte beachten Sie die folgende Sicherheitsmeldung.
Betroffene Software:
Collaboration Server <= 8.6 Betroffene Plattformen: GNU/Linux Die Standardinstallation von Zimbra Collaboration Servern hat gewöhnlich die Folge, dass ein memcached installiert wird, der ungesichert auf allen IP-Adressen des Proxy-Servers auf Port 11211 lauscht. Ein entfernter, nicht authentifizierter Angreifer kann dies ausnutzen, um Daten im memcached auszulesen, zu ändern oder zu schreiben, falls Zugriffe nicht durch weitere, separate Sicherheitsmechanismen verhindert werden. Workaround: Der Zimbra-Proxy sollte durch eine Firewall so abgesichert werden, dass der memcached-Dienst nicht aus unsicheren Netzwerken wie dem Internet erreichbar ist. ZIMBRA-2015-001: Unsichere Standardinstallation des Zimbra-Proxy Die Standardinstallation von Zimbra Collaboration Servern sieht die Installation des Zimbra-Proxy in Multi-Server-Umgebungen vor. Für Single-Server-Umgebungen ist die Installation des Zimbra-Proxy optional, wird aber empfohlen. Mit dem Zimbra-Proxy wird memcached installiert, um die Zugriffe auf Zimbra-Dienste zu verbessern. Dazu werden die Client-Server-Beziehungen als Schlüssel-Werte-Kombinationen zwischengespeichert. Der Dienst memcached bindet sich in der Standardkonfiguration auf allen zur Verfügung stehenden IP-Adressen auf Port 11211 und bietet keine Zugriffskontrollmechanismen an. Ein entfernter, nicht authentifizierter Angreifer kann die zwischengespeicherten Schlüssel-Werte-Kombinationen auslesen, überschreiben oder neu anlegen, wenn memcached auf einer aus dem Internet erreichbaren IP-Adressen gebunden ist. Referenzen: Dieses Advisory finden Sie auch im DFN-CERT Portal unter: https://portal.cert.dfn.de/adv/DFN-CERT-2015-0072/
Zimbra Community: SECURITY PROBLEM: Open Memcached in Zimbra 8.6.0_GA_1153:
https://community.zimbra.com/collaboration/f/1928/t/1137523
(c) DFN-CERT Services GmbH, all rights reserved!
Die Weiterverbreitung ist mit Hinweis auf den Copyrightinhaber innerhalb der
eigenen Einrichtung erlaubt. Eine darüber hinausgehende Verbreitung bedarf
des schriftlichen Einverständnisses des Rechteinhabers.
